AWS CloudTrail のよくある質問

いいえ。アカウントアクティビティの確認をするために必要なものは何もありません。AWS CloudTrail コンソールまたは AWS CLI にアクセスして、過去 90 日間までのアカウントアクティビティを確認できます。

AWS CloudTrail では、現在のリージョンで過去 90 日間に確認した CloudTrail イベント履歴の結果のみを表示し、さまざまな AWS サービスをサポートしています。このようなイベントは、API コールおよびアカウントアクティビティの作成、変更、削除の管理イベントに限定されます。すべての管理イベント、データイベント、読み込み専用アクティビティを含むアカウントアクティビティの完全なレコードについては、CloudTrail の証跡を設定しなければなりません。

時間範囲の他に、イベント名、ユーザー名、リソース名、イベントソース、イベント ID、リソースタイプの属性のうち 1 つを指定できます。

はい。CloudTrail コンソールにアクセスするか、CloudTrail API/CLI を使用して、過去 90 日間のアカウントアクティビティを確認できます。

CloudTrail の証跡を設定し、Amazon Simple Storage Service (Amazon S3)、Amazon CloudWatch Logs、Amazon CloudWatch Events に CloudTrail イベントを配信します。これは、AWS リソースのアーカイブ、分析、および変更に対応するための機能を使用するのに役立ちます。

はい。CloudTrail は AWS Identity and Access Management (IAM) と統合されているため、CloudTrail や CloudTrail が要求する AWS の他のリソースへのアクセスを制御するのに役立ちます。これには、アカウントのアクティビティを表示および検索するための権限を制限する機能が含まれています。ユーザー IAM ポリシーから「cloudtrail:LookupEvents」を削除することで、その IAM ユーザーがアカウントアクティビティを閲覧できないようにすることができます。

CloudTrail イベント履歴でのアカウントアクティビティの確認や検索にコストは発生しません。 

作成された CloudTrail の証跡については、ログを停止するか、証跡を削除することができます。これにより、証跡設定の一部として指定した Amazon S3 バケットへのアカウントアクティビティの配信、および CloudWatch Logs (設定されている場合) への配信も停止されます。過去 90 日間のアカウントアクティビティはそれでも収集されるので、CloudTrail コンソールでの表示や AWS コマンドラインインターフェイス (AWS CLI) による参照が可能です。 

CloudTrail では、ほとんどの AWS のサービスにおけるアカウントアクティビティイベントとサービスイベントが記録されます。サポートされているサービスのリストについては、「CloudTrail ユーザーガイド」の「CloudTrail Supported Services」をご覧ください。

はい。CloudTrail はあらゆるクライアントからの API コール (呼び出す) を記録します。AWS マネジメントコンソール、AWS SDK、コマンドラインツール、および高レベルの AWS のサービスから AWS API がコール (呼ぶ出す) されるので、これらのコール (呼び出す) は記録されます。

リージョナルエンドポイントを持つサービス (Amazon Elastic Compute Cloud [EC2] や Amazon Relational Database (リレーショナルデータベース) Service [RDS] など) のアクティビティ情報は、アクションが行われたのと同じリージョンで取得および処理されます。その後、S3 バケットに関連付けられたリージョンに配信されます。IAM や AWS Security Token Service (AWS STS) などの単一のエンドポイントを持つサービスのアクティビティ情報は、エンドポイントのあるリージョンで取得されます。その後、CloudTrail トレイルが設定されているリージョンで処理され、S3 バケットに関連付けられたリージョンに配信されます。

すべての AWS リージョンに証跡を適用するとは、データが保存されているすべてのリージョンで AWS アカウントアクティビティを記録する証跡を作成することです。この設定は、追加された新しいリージョンにも適用されます。リージョンとパーティションの詳細については、Amazon リソースネームと AWS のサービスの名前空間のページをご覧ください。

1 回の API コールまたは数回の選択で、パーティション内のすべてのリージョンに証跡情報を作成し、管理できます。すべてのリージョンにおいて AWS アカウントで実行されたアカウントアクティビティのレコードが、1 つの S3 バケットまたは CloudWatch Logs のグループに送信されます。AWS に新しいリージョンが作成された場合は、何も設定しなくても、新しいリージョンのイベント履歴を含むログファイルが送信されます。

CloudTrail コンソールで、証跡情報の設定ページの [apply to all Regions] に「yes」を選択します。SDK または AWS CLI を使用する場合、IsMultiRegionTrail を「true」に設定します。 

証跡をすべてのリージョンに適用すると、CloudTrail によって証跡設定がレプリケーションされ、新しい証跡が作成されます。CloudTrail では各リージョンでログファイルの記録と処理を行い、すべてのリージョンでのアカウントアクティビティを含むログファイルを単一の S3 バケットおよび単一の CloudWatch Logs ロググループに配信します。オプションの Amazon Simple Notification Service (Amazon SNS) トピックを指定した場合、CloudTrail では単一の SNS トピックに配信されたすべてのログファイルについて Amazon SNS 通知を配信します。

はい。既存の証跡情報をすべてのリージョンに適用できます。既存の証跡情報をすべてのリージョンに適用した場合、CloudTrail によりすべてのリージョンで新しい証跡情報が作成されます。以前に他のリージョンで証跡を作成している場合、CloudTrail コンソールから、それらの証跡を表示、編集、削除できます。 

通常、証跡情報設定をすべてのリージョンにレプリケーションするためにかかる時間は 30 秒未満です。

1 つのリージョンにつき最大 5 つの証跡情報を作成できます。すべてのリージョンに適用される証跡情報は各リージョンに存在し、それぞれのリージョンで 1 つの証跡情報として数えられます。

複数の証跡情報を使用することで、セキュリティ管理者、ソフトウェアデベロッパー、および IT 監査人といったさまざまな利害関係者が独自の証跡情報を作成し、管理することができます。例えば、セキュリティ管理者は、すべてのリージョンに適用される証跡情報を作成し、1 つの Amazon Key Management Service (KMS) キーを使用した暗号化を設定できます。デベロッパーはオペレーションの問題のトラブルシューティング用に、1 つのリージョンに適用される証跡情報を作成できます。

はい。リソースレベルのアクセス権限を使用してきめ細かなアクセスコントロールポリシーを作成すれば、特定のユーザーに対して、特定の証跡情報へのアクセスを許可または拒否することができます。詳細については、CloudTrail のドキュメントをご覧ください。 

デフォルトでは、CloudTrail ログファイルは S3 サーバー側の暗号化 (SSE) を使用して暗号化され、S3 バケットに保存されます。IAM または S3 バケットのポリシーを使用してログファイルへのアクセスを制御できます。さらにセキュリティを追加するには、S3 バケットで S3 多要素認証 (MFA) 削除 を有効にします。証跡の作成と更新の詳細については、CloudTrail のドキュメントをご覧ください。

サンプルの S3 バケットポリシーと SNS トピックポリシーは CloudTrail S3 バケットからダウンロードできます。実際の情報でサンプルポリシーを更新してから、S3 バケットまたは SNS トピックに適用しなければなりません。

CloudTrail ログファイルの保持ポリシーで制御します。デフォルトでは、ログファイルは永続的に保存されます。S3 オブジェクトのライフサイクル管理ルールを使用して、独自の保持ポリシーを定義できます。例えば、古いログファイルを削除したり、Amazon Simple Storage Service Glacier (S3 Glacier) にアーカイブしたい場合などです。

イベントには、リクエストを実行したユーザー、使用したサービス、実行されたアクション、そのアクションのパラメータ、AWS のサービスによって返されるレスポンス要素など、関連するアクティビティについての情報が含まれます。詳細については、ユーザーガイドの CloudTrail イベントリファレンスのセクションをご覧ください。 

通常、CloudTrail は、API 呼び出しから 5 分以内にイベントを送信します。CloudTrail の仕組みの詳細については、こちらをご覧ください。   

CloudTrail は S3 バケットに約 5 分ごとにログファイルを送信します。そのアカウントに対して API の呼び出しがない場合は、ログファイルを送信しません。 

はい。Amazon SNS の通知を有効にすることで、新しいログファイルの送信に応じて即時に行動をとることができます。 

A: まれですが、1 つ以上の重複イベントを含むログファイルが表示されることがあります。重複したイベントには同じ eventID が割り当てられます。eventID フィールドの詳細については、「CloudTrail レコードの内容」をご覧ください。 

CloudTrail ログファイルは、設定した S3 バケットポリシーに従って送信されます。バケットポリシーの設定が正しくない場合、CloudTrail からログファイルを送信できないことがあります。 

CloudTrail は、サブスクライブされたイベントのカスタマーの S3 バケットへの配信を少なくとも 1 回サポートするように設計されています。状況によっては、CloudTrail が同じイベントを複数回配信する可能性があります。その結果、顧客はイベントが重複していることに気付くかもしれません。 

データイベントは、データ自体に対して、またはリソース自体の中で実行されるリソース (データプレーン) オペレーションについてのインサイトを提供します。データイベントは大量のアクティビティであることが多く、S3 オブジェクトレベル API 操作や AWS Lambda 関数呼び出し API などのオペレーションが含まれます。証跡を設定する際、データイベントはデフォルトで無効になります。CloudTrail データイベントを記録するには、サポートされているリソースまたはリソースタイプのうちアクティビティを収集したいものを明示的に追加する必要があります。管理イベントとは異なり、データイベントは追加コストを招きます。詳細については、「CloudTrail の料金」をご覧ください。 

CloudTrail によって記録されたデータイベントは、管理イベントと同様に S3 に送信されます。これらのイベントは、いったん有効にされると、Amazon CloudWatch Events でも使用できます。 

S3 データイベントは、S3 オブジェクトに対する API アクティビティを表わします。CloudTrail でこれらのアクションを記録するには、新しい証跡を作成するとき、または既存の証跡を変更するときに、データイベントセクションに S3 バケットを指定します。指定した S3 バケット内のオブジェクトに対する API のアクションはすべて CloudTrail によって記録されます。 

Lambda データイベントは、Lambda 関数の実行時のアクティビティを記録します。Lambda data event を使うと、Lambda 関数の実行時の詳細を取得することができます。Lambda 関数の実行例としては、どの IAM ユーザーやサービスが Invoke API を呼び出したか、いつ呼び出したか、どの関数が適用されたかが挙げられます。すべての Lambda データイベントは、S3 バケットと CloudWatch Events に配信されます。CLI または CloudTrail コンソールを使用して Lambda データイベントのログ作成を有効にし、新しい証跡を作成したり既存の証跡を編集することで、どの Lambda 関数をログに記録するかを選択できます。 

ネットワークアクティビティイベントは、VPC エンドポイントを使用して行われたプライベート VPC から AWS サービスへの AWS API アクションを記録し、ネットワークセキュリティ調査のユースケースに対応するのに役立ちます。これには、VPC エンドポイントポリシーに合格した AWS API コールと、アクセスを拒否された AWS API コールが含まれます。API の呼び出し元とリソースの所有者の両方に配信される管理イベントとデータイベントとは異なり、ネットワークアクティビティイベントは VPC エンドポイントの所有者にのみ配信されます。ネットワークアクティビティイベントを記録するには、証跡またはイベントデータストアを設定するときにそれらを明示的に有効にし、アクティビティを収集したい AWS サービスのイベントソースを選択する必要があります。VPC エンドポイント ID でフィルタリングしたり、アクセス拒否エラーのみをログ記録したりするなどのフィルターを追加することもできます。ネットワークアクティビティイベントには追加料金が発生します。詳細については、「CloudTrail の料金」をご覧ください。

VPC フローログにより、VPC 内のネットワークインターフェイス間で送信される IP トラフィックに関する情報を取得できるようになります。フローログデータは、Amazon CloudWatch Logs、Amazon S3、または Amazon Data Firehose のいずれかの場所に公開できます。VPC エンドポイントのネットワークアクティビティイベントは、VPC エンドポイントを使用して実行された AWS API アクションをプライベート VPC から AWS サービスにキャプチャします。これにより、ネットワーク内のリソースにアクセスしているユーザーの詳細が得られ、データ境界での意図しないアクションを特定して対応しやすくなります。VPC エンドポイントポリシーにより拒否されたアクションのログを表示したり、これらのイベントを使用して既存のポリシーを更新した場合の影響を検証したりできます。 

はい。CloudTrail は、1 組織につき 3 名までの委任管理者の追加をサポートするようになりました。

組織レベルで作成された組織トレイルやイベントデータストアは、委任管理者のアカウントで作成されたか、管理者アカウントで作成されたかにかかわらず、管理者アカウントが所有者となります。

現在、CloudTrail の委任管理者機能は、中国を除く AWS CloudTrail が利用可能なすべてのリージョンで利用可能です。詳細については、AWS リージョンテーブルをご覧ください。

CloudTrail Insights イベントは、リソースプロビジョニングの急上昇、AWS Identity and Access Management (IAM) アクションのバースト、または定期的なメンテナンスアクティビティのギャップなど、AWS アカウントの異常なアクティビティを特定するのに役立ちます。CloudTrail Insights は、機械学習 (ML) モデルを使用して、異常なアクティビティの CloudTrail 書き込み管理イベントを継続的にモニタリングします。

異常なアクティビティが検出されると、CloudTrail Insights イベントがコンソールに表示され、CloudWatch Events、S3 バケット、およびオプションで CloudWatch Logs グループに配信されます。これにより、アラートを作成し、既存のイベント管理およびワークフローシステムと統合がより容易になります。

CloudTrail Insights は、AWS アカウントおよびリージョン内の CloudTrail 書き込み管理イベントを分析することにより、異常なアクティビティを検出します。普通でないまたは異常なイベントは、以前に確立された動作パターンまたはベースラインから予想される範囲から逸脱する AWS API 呼び出しの量として定義されます。CloudTrail Insights は、API 呼び出しの時間ベースの傾向を考慮し、ワークロードの変化に応じてアダプティブベースラインを適用することにより、通常の運用パターンの変化に適応します。

CloudTrail Insights は、動作不良のスクリプトまたはアプリケーションを検出するのに役立ちます。デベロッパーがスクリプトやアプリケーションを変更して、繰り返しループを開始したり、データベース、データストア、その他の関数などの意図しないリソースを大量に呼び出したりすることがあります。多くの場合、こうした動作は、月末の請求サイクルでコストが予想外に増加するか、実際の停止または中断が発生するまで気付かれません。CloudTrail Insights イベントを使用すると、AWS アカウントでのこうした変化を認識できるため、迅速に対処できます。

CloudTrail Insights は、AWS アカウントでの異常な運用アクティビティを特定します。これにより、運用上の問題に対処し、運用およびビジネスへの影響を最小限に抑えることができます。Amazon GuardDuty は、アカウントのセキュリティの改善に重点を置いており、アカウントアクティビティをモニタリングすることで脅威を検出します。Amazon Macie は、機密データを検出、分類、保護することにより、アカウントのデータ保護を改善するように設計されています。こうしたサービスは、アカウントで発生する可能性があるさまざまなタイプの問題に対して補完的に保護します。

はい。CloudTrail Insights イベントは個々の証跡で構成されているため、少なくとも 1 つの証跡を設定する必要があります。証跡に対して CloudTrail Insights イベントを有効にすると、CloudTrail は、その証跡でキャプチャされる書き込み管理イベントの異常なパターンの監視を開始します。CloudTrail Insights が異常なアクティビティを検出すると、CloudTrail Insights イベントは証跡定義で指定された配信先に記録されます。

CloudTrail Insights は書き込み管理 API 操作の異常なアクティビティを追跡します。

コンソール、CLI、SDK を使用して、アカウント内の個々の証跡で CloudTrail Insights イベントを有効にできます。また、AWS Organizations 管理アカウントで設定されている組織トレイルを使用して、組織全体で CloudTrail Insights イベントを有効にすることもできます。証跡定義でラジオボタンを選択することにより、CloudTrail Insights イベントを有効にできます。 

CloudTrail Lake は、CloudTrail によってログされたすべてのアクション、AWS Config によって記録された設定項目、Audit Manager からの証拠、または AWS 以外のソースからのイベントをクエリすることで、インシデントを調査するのに役立ちます。運用上の依存関係を取り除くのを支援することでインシデントログ記録を簡素化し、チームにまたがる複雑なデータプロセスパイプラインへの依存を減らすのに役立つツールを提供します。CloudTrail Lake では、CloudTrail ログを他の場所に移動して取り込む必要がありません。これにより、データの忠実度を維持し、ログをスロットリングさせる低レートの制限への対処を減らすことができます。また、大量の構造化ログを処理するように細かく調整されているため、ほぼリアルタイムのレイテンシーが提供されます。これにより、インシデント調査に利用できます。加えて CloudTrail Lake では、SQL で使い慣れたマルチ属性のクエリエクスペリエンスを提供し、さらに複数のクエリを同時にスケジュールおよび処理することができます。また、自然言語クエリ生成 (プレビュー) を使用してイベントの分析に役立てることもできます。これにより、SQL クエリの記述に精通していないユーザーや、CloudTrail イベントの理解が深くないユーザーをサポートできます。

CloudTrail は、AWS のサービス全体のユーザーアクティビティと API 使用のログの標準的なソースです。CloudTrail でログが利用できるようになったら、CloudTrail Lake を利用して AWS のサービスのアクティビティを調べることができます。ユーザーアクティビティと影響を受けるリソースをクエリおよび分析し、そのデータを使用して、悪意のあるユーザーの特定や許可のベースライン化などの問題に対処できます。

CloudTrail コンソールを使用したわずかなステップでパートナー統合を見つけて追加すれば、カスタム統合を構築して管理しなくても、これらのアプリケーションからのアクティビティイベントを受信できるようになります。利用可能なパートナー統合以外のソースについては、新しい CloudTrail Lake API を使用して自分で統合を設定し、イベントを CloudTrail Lake にプッシュできます。使用を開始するには、「CloudTrail ユーザーガイド」の「AWS CloudTrail Lake の使用」をご覧ください。

AWS Config アドバンストクエリは、現在の状態の AWS Config の設定項目 (CI) を、集約およびクエリしようとする場合に推奨されます。これは、在庫管理、セキュリティと運用インテリジェンス、コストの最適化、およびコンプライアンスデータでお客様を支援します。AWS Config アドバンストクエリは、AWS Config のお客様であれば無料で利用できます。 

CloudTrail Lake は、リソースの設定とコンプライアンスの履歴を含む AWS Config の設定項目に対するクエリカバレッジをサポートしています。関連する CloudTrail イベントを持つリソースの設定とコンプライアンスの履歴を分析することは、それらのリソースで誰が、いつ、何を変更したかを推測するのに役立ちます。これは、セキュリティの露出やコンプライアンス違反に関連するインシデントの根本的な原因分析に役立ちます。CloudTrail イベントと履歴のある設定項目にわたってデータを集約し、クエリする必要がある場合は、CloudTrail Lake をお勧めします。  

CloudTrail Lake は、CloudTrail Lake が設定される前に生成された AWS Config の設定項目を取り込むことはありません。アカウントレベルまたは組織レベルで、AWS Config の新しく記録された設定項目を、作成および指定した CloudTrail Lake イベントデータストアに配信できるようになります。これらの設定項目は、指定された保持期間中は Lake でクエリ可能であり、履歴データ分析に使用することができます。 

複数のユーザーが 1 つのリソースに対して複数の設定変更を連続して試みた場合、リソースの最終状態の設定にマッピングされる設定項目は 1 つしか作成されない可能性があります。このようなシナリオでは、特定の時間範囲とリソース ID の CloudTrail と設定項目をクエリすることで、どのユーザーがどのような設定変更を行ったかについて 100% の相関性を提供することができない可能性があります。

はい。CloudTrail Lake のインポート機能では、(組織の証跡内の) 複数のアカウントおよび複数の AWS リージョン全体からのログを保管している S3 バケットから CloudTrail ログをコピーできます。また、個人アカウントおよび単一リージョンの証跡からもログをインポートできます。このインポート機能は、インポートの日付範囲を指定することもできるため、CloudTrail Lake での長期保管と分析に必要なログのサブセットのみをインポートできます。ログを統合したら、CloudTrail Lake を有効にした後に収集された最新のイベントから、証跡から持ち込まれた履歴イベントまで、ログに対してクエリを実行できます。

インポート機能は、ログ情報を S3 から CloudTrail Lake にコピーし、元のコピーを S3 にそのまま残します。

内部のトラブルシューティングのニーズに応じて、CloudTrail によって収集された任意のイベントカテゴリに対して CloudTrail Lake を有効にできます。イベントカテゴリには、CreateBucket や TerminateInstances などのコントロールプレーンアクティビティをキャプチャする管理イベント、GetObject や PutObject などのデータプレーンアクティビティをキャプチャするデータイベント、VPC エンドポイントを使用して行われたプライベート VPC から AWS サービスへの API アクションをキャプチャするネットワークアクティビティイベント (プレビュー中) が含まれます。これらのイベントのいずれについても、個別の証跡サブスクリプションは必要ありません。CloudTrail Lake では、1 年間の延長可能なリテンションと 7 年間のリテンションのどちらかの価格オプションを選択する必要があります。これは、コストだけでなく、イベントの保持期間にも影響します。データはいつでもクエリできます。CloudTrail Lake ダッシュボードでは、CloudTrail イベントのクエリをサポートしています。

機能を有効にした後、ほぼすぐに発生するアクティビティのクエリを開始できます。

一般的なユースケースには、不正アクセスやユーザー認証情報の侵害などのセキュリティインシデントの調査、定期的にベースラインのユーザーアクセス許可に対する監査を実行することによるセキュリティ体制の強化などがあります。必要な監査を行い、リソースへの変更がセキュリティグループなど適切なユーザーのセットによって加えられていることを確認し、組織のベストプラクティスに準拠していない変更を追跡できます。さらに、リソースに対して実行されたアクションを追跡し、変更や削除を評価し、サービスにサブスクライブしている IAM ユーザーを含む、AWS のサービスの請求に関してより深いインサイトを得ることができます。

現在および新規の CloudTrail のお客様であれば、API または CloudTrail コンソールを介して機能を有効にすることで、CloudTrail Lake 機能を使用してすぐにクエリを実行できるようになります。CloudTrail コンソールの左パネルにある [CloudTrail Lake] タブを選択し、[イベントデータストアの作成] ボタンを選択します。イベントデータストアを作成するときは、イベントデータストアに使用する価格オプションを選択します。価格オプションによって、イベントを取り込むためのコストと、イベントデータストアの最大保存期間とデフォルト保持期間が決まります。その後、CloudTrail によってログされたすべてのイベントカテゴリ (管理イベントとデータイベント) からイベント選択を行い、開始します。

さらに、CloudTrail Lake の上位イベントを視覚化するために、CloudTrail Lake ダッシュボードの使用を開始できます。CloudTrail Lake ダッシュボードは事前に構築されたダッシュボードであり、すぐに使用できる可視性と、監査データとセキュリティデータからの最高のインサイトを CloudTrail コンソール内で直接提供します。

はい。イベントデータストア構成の一部として、価格オプションを 7 年間の保持価格から 1 年間の延長可能な保持価格に更新できます。既存のデータは、設定された保持期間の間、イベントデータストアで引き続き使用できます。このデータには長期保存料はかかりません。ただし、新しく取り込まれたデータには、取り込みと長期保持の両方について、1 年間の延長可能な保持料金が適用されます。 

いいえ。現在のところ、イベントデータストアを 1 年間の延長可能な保持価格から 7 年間の保持価格に移行することはサポートされていません。ただし、現在のイベントデータストアのロギングを無効にしながら、新しく取り込んだデータに 7 年間の保存料金を設定した新しいイベントデータストアを作成することはできます。それぞれの価格オプションと設定された保持期間を使用して、両方のイベントデータストアのデータを引き続き保持および分析できます。

CloudTrail Lake は、お客様がコンプライアンスと監査に関するユースケースのニーズを満たすのに役立つ監査レイクです。コンプライアンスプログラムの規定に基づき、お客様は CloudTrail Lake にいつ取り込まれたかに関係なく、ログが生成された時点から指定された期間、監査ログを保持する必要があります。

いいえ。これは過去にイベントが発生した過去のイベントであるため、このイベントはイベント発生時から 1 年間、CloudTrail Lake に保持されます。そのため、そのイベントが CloudTrail Lake に保存される期間は 1 年未満になります。 

現在、CloudTrail Lake ダッシュボードは CloudTrail の管理とデータイベントをサポートしています。

ダッシュボードは現在アカウントレベルで有効になっており、そのアカウントでアクティブで CloudTrail 管理またはデータイベントが有効になっているすべてのイベントデータストアに適用されます。

CloudTrail Lake ダッシュボードは CloudTrail Lake クエリを利用しています。CloudTrail Lake ダッシュボードを有効にすると、スキャンされたデータに対して課金されます。詳細については、料金のページをご覧ください。

いいえ。現在、CloudTrail Lake のダッシュボードはすべて厳選され、事前に定義されており、カスタマイズすることはできません。

監査およびコンプライアンスエンジニアは、CloudTrail Lake ダッシュボードを使用することで、TLS 1.2 以降への移行などといったコンプライアンス要件の進捗状況を追跡できます。また、loudTrail Lake ダッシュボードは、セキュリティエンジニアが証跡の削除や度重なるアクセス拒否エラーなど、機密性の高いユーザーアクティビティを綿密に追跡する場合に役立ちます。クラウド運用エンジニアは、厳選されたダッシュボードから、サービススロットリングで最も多いエラーなどの問題を把握できます。

はい。複数のアカウントの保存先として、1 つの S3 バケットを設定できます。詳細な手順については、「CloudTrail ユーザーガイド」の 1 つの S3 バケットへのログファイルの集約に関するセクションをご覧ください。

CloudTrail を CloudWatch Logs と統合すると、CloudTrail が取得した管理イベントやデータイベントが、指定した CloudWatch Logs ロググループの CloudWatch Logs ログストリームに送られます。

この統合により、CloudTrail が取得したアカウントアクティビティの SNS 通知を受け取ることができます。例えば、CloudWatch アラームを作成して、セキュリティグループとネットワークアクセスコントロールリスト (ACL) を作成、変更、削除する API コールのモニタリングができます。

CloudTrail コンソールで CloudWatch Logs ロググループと IAM ロールを指定すると、CloudTrail と CloudWatch Logs の統合が有効になります。また、AWS SDK または AWS CLI を使用して統合を有効にすることもできます。

統合を有効にすると、CloudTrail は、指定した CloudWatch Logs ロググループ内の CloudWatch Logs ログストリームに継続的にアカウントアクティビティを送ります。また、CloudTrail は、これまでと同じように S3 バケットへのログ配信も続けます。

CloudWatch Logs がサポートされているリージョンで、この統合はサポートされています。詳細については、AWS 全般のリファレンスの「リージョンとエンドポイント」をご覧ください。

CloudTrail では、CloudWatch Logs (ログ) にアカウントアクティビティを配信するためにユーザーが指定した IAM ロールが使用されます。IAM ロールの権限は、CloudWatch Logs ログストリームにイベントを配信するために必要なものだけに限定してください。IAM ロールのポリシーを確認するには、CloudTrail ドキュメントの「ユーザーガイド」にアクセスしてください。

CloudTrail と CloudWatch Logs の統合を有効にした後は、CloudWatch Logs と CloudWatch の標準の利用料が請求されます。詳細については、CloudWatch の料金ページをご覧ください。 

SSE-KMS で CloudTrail ログファイルの暗号化を使用すると、KMS キーでログファイルを暗号化することにより、S3 バケットに配信される CloudTrail ログファイルにセキュリティレイヤーをさらに追加できます。CloudTrail では、デフォルトで、S3 のサーバー側の暗号化を使用して、S3 バケットに配信されるログファイルを暗号化します。

SSE-KMS により、S3 ではログファイルを自動的に復号するため、アプリケーションを変更する必要はありません。通常どおり、S3 GetObject アクセス許可と AWS KMS Decrypt アクセス許可のようなアプリケーションに適切なアクセス許可があることを確認する必要があります。

AWS マネジメントコンソール、AWS CLI または AWS SDK を使用して、ログファイルの暗号化を設定できます。詳細な手順については、ドキュメントをご覧ください。

SSE-KMS を使用して暗号化を設定すると、標準の AWS KMS 料金が発生します。詳細については、AWS KMS の料金ページをご覧ください。

CloudTrail ログファイルの整合性の検証機能では、CloudTrail ログファイルが特定の S3 バケットに配信されてから、そのログファイルが変更されていないか、削除されたか、変更されたかどうかを判断できます。

ログファイルの整合性の検証は、IT のセキュリティと監査のプロセスで役立てるために利用できます。

コンソール、AWS CLI、または AWS SDK から CloudTrail ログファイルの整合性の検証機能を有効にできます。

ログファイルの整合性の検証機能を有効にすると、CloudTrail からダイジェストファイルが毎時間配信されます。ダイジェストファイルには、S3 バケットに配信されたログファイルに関する情報と、それらのログファイルのハッシュ値が含まれています。また、S3 メタデータセクションに以前のダイジェストファイルのデジタル署名と現在のダイジェストファイルのデジタル署名が含まれています。ダイジェストファイル、デジタル署名、ハッシュ値に関する詳細については、CloudTrail のドキュメントをご覧ください。

ダイジェストファイルは、ログファイルが配信された S3 バケットに配信されます。ただし、詳細なアクセスコントロールポリシーを適用できるように、異なるフォルダーに配信されます。詳細については、CloudTrail のドキュメントのダイジェストファイル構造のセクションをご覧ください。

AWS CLI を使用すると、ログファイルまたはダイジェストファイルの整合性を検証できます。独自のツールを作成して、検証を行うこともできます。ログファイルの完全性の検証に AWS CLI を使用する方法の詳細については、CloudTrail のドキュメントをご覧ください。

はい。すべてのリージョンおよび複数のアカウントにわたるダイジェストファイルが、CloudTrail によって同じ S3 バケットに配信されます。

AWS CloudTrail Processing Library は、CloudTrail ログファイルの読み取りと処理を行うアプリケーションの作成をより容易にする Java ライブラリです。CloudTrail Processing Library は GitHub からダウンロードできます。

CloudTrail Processing Library は、SQS キューの継続的なポーリング、Amazon Simple Queue Service (Amazon SQS) メッセージの読み取りと解析などのタスクを処理する機能を提供します。また、S3 に保存されたログファイルをダウンロードし、ログファイルのイベントを耐障害性のある方法で解析し、シリアル化することができます。詳細については、CloudTrail ドキュメントのユーザーガイドをご覧ください。 

aws-java-sdk バージョン 1.9.3 および Java 1.7 以降が必要です。

CloudTrail では、お客様のアカウントの過去 90 日分の管理イベントを無料で閲覧、検索、ダウンロードすることができます。トレイルを作成することで、進行中の管理イベントのコピーを 1 つ無料で S3 に配信できます。CloudTrail の証跡が設定されると、お客様の使用量に基づいて S3 の料金が適用されます。

データイベントやネットワークアクティビティイベント (プレビュー中) など、イベントの追加コピーを証跡を使用して配信できます。データイベント、ネットワークアクティビティイベント、および管理イベントの追加コピーに対して料金が発生します。詳細については、料金のページをご覧ください。

いいえ。管理イベントの最初のコピーは各リージョンで無料で配信されます。

はい。データイベントについてのみ課金されます。管理イベントの最初のコピーは無料で配信されます。 

CloudTrail Lake を使用する場合、取り込みとストレージの料金を一緒に支払います。請求は、取り込まれた圧縮されないデータの量と保存された圧縮データの量に基づいて行われます。イベントデータストアを作成するときは、イベントデータストアに使用する価格オプションを選択します。価格オプションによって、イベントを取り込むためのコストと、イベントデータストアの最大保存期間とデフォルト保持期間が決まります。クエリ料金は、分析するために選択した圧縮データに基づいています。詳細については、料金のページをご覧ください。

はい。各 CloudTrail イベントは、平均して約 1500 バイトです。このマッピングを使用すると、過去 1 か月間のトレイルでの CloudTrail の使用状況に基づいて CloudTrail Lake の取り込み量をイベント数別に推定できます。

複数のパートナーが CloudTrail ログファイルを分析する統合ソリューションを提供しています。これらのソリューションには、変更の追跡、トラブルシューティング、セキュリティ分析などの機能が含まれています。詳細については、CloudTrail パートナーのセクションをご覧ください。

統合を開始するには、「パートナーオンボーディングガイド」をご覧ください。パートナー開発チームまたはパートナーソリューションアーキテクトが、CloudTrail Lake チームと連携し、より詳しく掘り下げたり、さらに質問をしたりすることができます。

いいえ。CloudTrail を有効にしても、AWS リソースのパフォーマンスや API の呼び出しのレイテンシーに影響はありません。